xuenixiang_2019_re_Reverse3

roger

xuenixiang_2019_re_Reverse3

我们打开这个图片，得到如上提示，继续查看属性无任何提示。

xuenixiang_2019_re_Reverse3

我们binwalk以下看看

xuenixiang_2019_re_Reverse3

可以看到也并没有什么其他多余的文件，ZLIb以及LZMA一般可以忽视。

但是根据我的经验对于损坏的某些隐藏文件是无法binwalk出来的，于是我们用010edit打开它，查找png文件尾。

xuenixiang_2019_re_Reverse3

发现了并没有结束，5D5A9000这个明显是4D5A9000，被更改了exe文件头

xuenixiang_2019_re_Reverse3

但是我们同样在尾部发现了AE426082，出题人为了迷惑我们在混合文件的尾部又添加上了png文件的文件尾，让我们以为这只是一张图片，没有任何其他的文件。

我们利用010edit手工提取出来exe

xuenixiang_2019_re_Reverse3

可以发现这个应该是属于VB程序，我们只要猜对6次数据就可以获得flag,但是我们如果算一下概率是6的6次方，基本可以放弃。利用VBdecomplier进行反编译。

xuenixiang_2019_re_Reverse3

以上就是反编译出来的数据,对于我来讲基本看不懂啊，算了似乎可以利用Cheatengine

xuenixiang_2019_re_Reverse3

我们不断再次扫描，最后得到4个内存地址，把他们都改成6

xuenixiang_2019_re_Reverse3

xuenixiang_2019_re_Reverse3

最后一步一步弹出了flag，得到flag{Y0uAreGoo5}